세계 최대 규모의 해킹·보안 행사인 데프콘 34가 2026년 8월 6일부터 9일까지 미국 라스베이거스 컨벤션센터 서관에서 열렸다. 주최 측이 내건 올해 주제는 기술을 이해하고 스스로 선택하는 힘을 뜻하는 ‘주체성’이었다. 공식 프로그램을 보면 인공지능, 자동차, 클라우드, 산업제어시스템, 사물인터넷, 항공우주, 해양 등 39개 전문 체험관이 운영됐다. 보안의 경계가 서버와 개인용 컴퓨터를 넘어 이동수단과 생산시설, 생활 기기로 넓어졌음을 행사 구성이 그대로 보여줬다.
인공지능 분야에서는 코딩 에이전트의 허점을 찾는 도구, 인공지능을 이용한 사물인터넷 해킹, 자동 생성한 변형 지시문으로 프롬프트 주입 취약점을 찾는 연구 등이 공식 발표 목록에 올랐다. 인공지능이 공격 문구를 만드는 보조 수단에 머물지 않고 취약점 탐색과 공격 절차를 자동화하는 단계로 이동한 셈이다. 방어 조직은 모델의 답변만 검사해서는 부족하다. 에이전트가 접근할 수 있는 계정과 파일, 실행 가능한 도구, 외부 통신 범위를 최소화하고 행동 기록을 남겨야 한다.
| 공식 체험관 | 다룬 공격 표면 | 우선 점검 항목 |
|---|---|---|
| 인공지능·클라우드 | 에이전트, 계정, 권한 | 최소 권한과 실행 기록 |
| 자동차·사물인터넷 | 차량 통신, 연결 기기 | 망 분리와 원격 갱신 검증 |
| 산업·해양·항공우주 | 제어망, 선박, 항공전자 | 안전 우선 대응과 복구 훈련 |
자동차와 사물인터넷 체험관은 연결된 장비 자체가 공격 표면이라는 점을 다뤘고, 산업제어시스템 체험관은 생산과 안전에 직접 영향을 주는 제어망을 실습 대상으로 삼았다. 해양과 항공우주 체험관까지 별도로 운영된 것은 사이버 침해가 정보 유출로 끝나지 않고 장비 오작동과 서비스 중단으로 이어질 수 있음을 뜻한다. 실제 운영 환경에서는 업무망과 제어망을 분리하고, 원격 갱신 파일의 서명과 배포 경로를 검증하며, 이상 징후가 생기면 안전 상태로 전환하는 절차를 먼저 마련해야 한다.
데프콘 34가 남긴 핵심은 새로운 공격 기법 하나가 아니라 관리 대상의 확대다. 사람 계정뿐 아니라 인공지능 에이전트와 자동화 계정에도 소유자, 유효기간, 허용 권한을 지정해야 한다. 자동차와 공장, 선박처럼 물리적 결과가 따르는 시스템은 일반 정보기술 사고 대응과 별도로 정지·격리·수동 복구 기준을 훈련해야 한다. 연결 장치의 목록, 권한, 갱신 경로, 복구 절차를 함께 관리하는 체계가 인공지능 시대 보안의 출발점이다.
저작권자 © STORIUM 무단전재 및 재배포 금지
